O jeito certo de proteger um PDF com senha antes de enviar por e-mail

Duas senhas, com duas funções diferentes

Um PDF pode ter uma senha de usuário e uma senha de proprietário, e elas protegem coisas diferentes. A senha de usuário abre o documento. Sem ela não há nada para ler, porque todo o fluxo de conteúdo é criptografado, e o texto das páginas, as fontes e as imagens ficam no disco como texto cifrado. A senha de proprietário só controla as permissões: imprimir, copiar, editar e comentar. Um arquivo pode ter uma sem a outra, e é por isso que alguns PDFs abrem direto em qualquer leitor, mas se recusam a imprimir, ou abrem sem complicação, mas não deixam copiar um parágrafo para um e-mail.

Essa distinção pesa mais na hora de definir a senha, porque decide o que você está prometendo. Se a ideia é impedir que um anexo específico seja lido por qualquer pessoa a quem ele for encaminhado, quem faz o trabalho no Proteger PDF é a senha de usuário. Se a ideia é dizer a um colega “por favor, não edite isto” e ainda deixar qualquer pessoa ver o arquivo, a ferramenta certa, e mais leve, é a senha de proprietário com permissões restritas.

O que protege de verdade e o que é só um pedido educado

A proteção moderna por senha em PDF criptografa o documento inteiro com AES-256 na revisão 6, a opção mais forte que o PDF 2.0 define. Todos os leitores mais usados, incluindo Acrobat, Preview, Chrome, Edge e os visualizadores embutidos do Android e do iOS, se recusam a exibir uma única linha sem a senha correta, e o mesmo vale para qualquer script ou biblioteca que tente ler o arquivo. Isso é proteção de verdade. Não existe porta dos fundos, e ninguém consegue ler o conteúdo sem a senha.

Os bits de permissão são outro tipo de promessa. Eles ficam gravados ao lado da senha e são respeitados pelos leitores que seguem as regras, que deixam cinza a opção de imprimir ou copiar quando o arquivo pede. Mas quem os faz valer é a boa vontade do leitor, não a matemática, então alguém com a senha de abertura e as ferramentas certas consegue contorná-los. Trate as permissões como um aviso claro e profissional a um colega sobre o que você espera, e não como uma barreira contra alguém decidido a passar por ela.

Antes de enviar, confira o que você está protegendo

A utilidade de uma senha depende da ameaça que ela deve barrar. Criptografar um documento com a senha de abertura impede que ele seja lido por quem o receber encaminhado, se ele se extraviar no caminho ou se ficar parado em uma caixa de entrada compartilhada por mais tempo do que o previsto. Isso cobre a maior parte do que preocupa quem manda um contrato ou um holerite por e-mail. Mas não resolve nada quanto aos metadados que estão no mesmo arquivo. O nome do autor, o programa que gerou o arquivo e a data de criação viajam junto, criptografados mas intactos, e podem ser lidos no instante em que o arquivo é aberto com a senha certa. Se a parte sensível são os próprios metadados, esse é outro trabalho, para o Remover metadados de PDF, antes mesmo de colocar a senha.

O que acontece se a senha for esquecida

Por princípio, o AES-256 não tem porta dos fundos nem código de recuperação. Não existe serviço, nem o nosso, que vá quebrar uma senha de verdade para você, porque uma ferramenta feita para recuperar senhas esquecidas é uma ferramenta feita para abrir documentos que não são seus. A saída prática é anotar a senha em um lugar duradouro assim que você a definir, em um gerenciador de senhas e não em um post-it, e guardar uma cópia sem criptografia do arquivo original em um lugar seguro até que a versão criptografada tenha cumprido o seu papel. Se as duas se perderem, o documento se perde junto.

Como tirar a senha depois, do jeito certo

Se você já consegue abrir o documento porque tem a senha, a criptografia pode ser retirada de forma limpa e completa com o Remover senha de PDF. O número de páginas, a ordem delas, a camada de texto, os marcadores, os links e os campos de formulário passam intactos, já que só a camada de criptografia é regravada. Isso só funciona quando você mesmo digita a senha. De propósito, não há tentativa de adivinhar nem ataque de força bruta, e três tentativas erradas seguidas pausam o formulário por meio minuto, para que ele não vire uma ferramenta de quebrar senhas. É comum fazer a ida e volta: tirar a senha para editar o arquivo ou passá-lo pelo Comprimir PDF e depois colocar uma senha nova antes de enviá-lo outra vez.